Tests génétiques à usage récréatif : pourquoi et comment demander l’effacement de vos données auprès de la société 23andMe ?

23andMe, acteur majeur du marché des tests génétiques, a récemment été placée en redressement judiciaire et pourrait donc être revendue très prochainement. Compte tenu des incertitudes sur le devenir de cette société américaine, de la quantité de données dont elle dispose, et des risques inhérents à l’usage de ces tests, la CNIL vous présente la marche à suivre pour faire effacer vos données personnelles.

En quoi consistent les tests génétiques et quelles sont les données collectées ?

Les sites web de vente à distance de tests génétiques proposent, en général, des offres relatives à la filiation ou à la généalogie des personnes. Les clients reçoivent un kit et renvoient les échantillons (salive) nécessaires collectés.

À cette occasion, les entreprises récupèrent de nombreuses informations contenues dans le génome des personnes telles que les données relatives à l’origine ethnique, les données phénotypiques (couleur des yeux, peau, morphologie, etc.), ou encore les données relatives à l’état de santé ou à des caractéristiques de l’organisme (prédispositions à certaines maladies, etc.).

Par ailleurs, ces entreprises collectent des données d’identité et des coordonnées afin d’adresser les résultats du test (au moins les noms, prénoms, adresses postales ou électroniques).

De nombreuses données supplémentaires sont parfois également collectées par voie de questionnaire : les relations (maritales ou familiales), des dates sur des évènements de vie (mariages, décès), les goûts alimentaires, la capacité à effectuer certains gestes (bouger les oreilles, les sourcils), des photographies et d’autres données telles que les données de santé.

Toutes ces données, prises individuellement et combinées, révèlent de très nombreuses informations sur les personnes et ont beaucoup de valeur.

Quels sont les risques associés à la collecte de ces données ?

Les principales préoccupations qui entourent la réalisation de ces tests tiennent à la confidentialité des données et à la maîtrise de leur diffusion. Ce risque est accru dans la mesure où les données génétiques peuvent concerner des personnes qui n’ont pas réalisé de test mais partagent les gènes de la personne qui en est à l’origine (ascendants, descendants, famille proche), et qui n’ont ni consenti ni même été informées de cette réalisation.

Les sociétés qui réalisent ces tests sont susceptibles de partager les données avec des tiers qui ne sont pas toujours clairement identifiés dans les documents fournis aux utilisateurs, et pour des finalités formulées de manière large – notamment pour les transmissions à des fins de recherche. Dans le contexte d’une vente de société proposant ce type de prestation, il devient encore plus difficile de prévoir quels acteurs seront en mesure d’accéder au stock de données enregistrées, et quelles utilisations en seront faites.

Comment solliciter la suppression de vos données personnelles ?

En raison de la situation de 23andMe, la CNIL vous présente la procédure de suppression des données auprès de cette société.

Au regard des risques rappelés plus haut, la CNIL vous invite également à exercer vos droits si vous avez réalisé un test génétique auprès d’un autre acteur du secteur. Une procédure similaire à celle décrite ci-dessous devrait être mise à votre disposition par ce dernier ou, à défaut, une adresse dédiée à l’exercice de vos droits devrait être indiquée dans la politique de confidentialité de l’acteur considéré.

Comment supprimer vos données et votre compte auprès de la société 23andMe ?

Les étapes pour demander la suppression de vos données sont les suivantes :

1. Connectez-vous à votre compte utilisateur sur le site de la société
2. Accédez à la page « Settings » depuis votre profil
3. Défilez vers le bas de la page pour atteindre la section « 23andMe Data »

4. Cliquez sur le bouton « View »
5. Défilez vers le bas et cliquez sur le bouton « Permanently Delete Data »

6. Consultez l’adresse mail associée au compte, ouvrez le mail reçu et confirmez que vous sollicitez la suppression des données vous concernant en cliquant sur le bouton « Permanently Delete All Records » dans le mail

Quelles sont les conséquences de cette suppression ?

Votre compte sera alors supprimé en même temps que vos données, et vous n’y aurez donc plus accès.

La société 23andMe indique, dans sa politique de confidentialité, que la suppression de vos données et de votre compte emporte automatiquement la suppression de l’échantillon salivaire et le retrait de votre consentement à l’utilisation de vos données dans le cadre de recherches.

Cette politique de confidentialité précise que seront toutefois conservées, pour répondre à des obligations légales, les données relatives :

• à la date de naissance et au sexe ;
• à la demande de suppression du compte (telles que l’adresse mail et l’identifiant de la requête de suppression) ;
• aux « informations génétiques » (il peut donc en être déduit que les résultats produits à partir de l’échantillon pourraient être conservés).

Quelles sont les autres actions que vous pouvez effectuer ?

Depuis la page « Settings » vous pouvez également :

• Demander la destruction de l’échantillon de salive fourni, si vous aviez demandé à ce que celui-soit conservé :

1. Défilez vers le bas jusqu’à la section « Preferences » 
2. Cliquez sur le bouton « Edit » 
3. Modifiez les préférences associées au stockage de l’échantillon

• Retirer votre consentement à utilisation et au partage de vos données à des fins de recherche :

1. Défilez vers le bas jusqu’à la section « Research and Product Consents » 
2. Cliquez sur le bouton « Edit » 
3. Cliquez sur le bouton « Change consent » 
4. Sélectionnez l’option « I DON’T GIVE CONSENT » correspondant à votre situation 
5. Cliquez sur le bouton « Submit »